この記事は、 「ネットワーク中級編｜構築・検証・障害切り分けを身につける」 の第36回です。
前回までにWiresharkを使ってARP・TCP・DNSの通信をパケット単位で確認しました。 今回は、その観察力を使いながら、VLAN内通信がどこで止まっているのかを順番に切り分ける方法を学びます。
VLAN障害の切り分け｜通信できない原因と確認コマンドを図解
VLAN障害では、VLAN IDの設定だけを見ても原因を特定できません。 物理リンク、アクセスポート、VLANの存在、トランク、許可VLAN、STP、MACアドレス学習、 必要に応じてSVIやInter-VLAN Routingまで、フレームが通る順番に確認することが重要です。 この記事では、Cisco IOS／IOS XE系の代表的なshowコマンドと出力例を使って、実務で迷いにくい切り分け手順を整理します。
「同じVLANなのにpingが通らない」「同じスイッチ内では通信できるのに、別スイッチへ行くと通信できない」 「VLAN 10だけ通信できない」といった障害では、確認する場所が多く見えます。
しかし、VLAN障害はフレームが端末から対向端末までどの経路を通るかに沿って確認すると整理できます。 まず症状から障害範囲を絞り、その後に設定・状態・MACアドレステーブル・パケットを確認します。
この記事を読み終えるとできること
- 症状からアクセスポート・トランク・L3のどこを疑うか判断できる
- アクセスポートのVLAN所属を確認できる
- トランクで対象VLANが許可されているか確認できる
- STPとMACアドレステーブルからL2転送状態を判断できる
- 同一VLAN障害とVLAN間ルーティング障害を分けて考えられる
- 調査結果を根拠とともに報告できる
VLAN障害とは何か
VLAN障害とは、端末が意図したVLANへ正しく収容されない、またはそのVLANのフレームが スイッチ間を正しく転送されないことで、期待するレイヤー2通信が成立しない状態です。
VLANは、1台のスイッチの中だけで完結するとは限りません。 複数スイッチにまたがるVLANでは、端末側のアクセスポート、スイッチ間のトランク、802.1Qタグ、 STP、MACアドレス学習が連動して初めて通信できます。
VLAN障害の本質は「VLAN番号が合っているか」だけではありません。
そのVLANのフレームが、送信元端末から宛先端末まで正しいポート・正しいVLAN・正しい転送状態で届くかを確認します。
VLAN障害とルーティング障害を最初に分ける
同じVLAN同士で通信できない
同一IPサブネット・同一VLANの端末同士で通信できない場合は、 まずアクセスポート、トランク、STP、MACアドレス学習などレイヤー2を確認します。
同じVLAN内は通るが別VLANへ通らない
同一VLAN内通信が正常で、VLAN間だけ通信できない場合は、 デフォルトゲートウェイ、SVI、Inter-VLAN Routing、ルーティング、ACLなどを確認します。
まず正常な通信経路を理解する
VLAN障害を切り分けるには、正常時にフレームがどのように流れるかを先に整理します。 次の例では、PC-AとPC-Bは別のスイッチに接続されていますが、どちらもVLAN 10に所属しています。
同一VLAN・別スイッチ間の通信
VLAN 10
Allowed 10,20
VLAN 10
- PC-AがEthernetフレームを送信するPC-AからSW1のアクセスポートへ入るフレームは通常タグなしです。
- SW1が受信ポートからVLAN 10として扱うアクセスポートの設定によって、受信フレームがVLAN 10へ所属します。
- SW1がトランクへ転送するVLAN 10がトランクで許可されていれば、通常は802.1QタグにVLAN ID 10を入れてSW2へ送ります。
- SW2がVLAN 10として受信するSW2は802.1Qタグを確認し、VLAN 10のフレームとして処理します。
- SW2がPC-Bのアクセスポートへ送るアクセスポートから端末へ出す際は通常タグを外し、PC-Bへ届けます。
この5段階のどこか1つでも崩れると、同一VLAN内通信でも失敗します。 障害対応では「どの段階まで正常か」を確認して範囲を狭めます。
症状から障害範囲を絞る
VLAN障害は、最初に「誰と誰が通信できないのか」を整理するだけで確認場所を大きく減らせます。
| 症状 | 優先して確認する場所 | 代表的な原因 |
|---|---|---|
| 1台の端末だけ通信できない | 端末設定、接続ポート、アクセスポートVLAN | 誤VLAN、shutdown、err-disabled、認証後VLAN、端末設定 |
| 同じSW内のVLAN 10同士が通信できない | アクセスポート、VLAN状態、STP、MAC学習 | 異なるVLANへ収容、VLAN inactive、ポート制御 |
| 同じSW内は通るが別SWへ通らない | スイッチ間トランク、Allowed VLAN、STP | トランク未成立、VLAN 10未許可、片側設定漏れ |
| VLAN 10だけ別SWへ通らない | VLAN 10の存在、Allowed VLAN、VLANごとのSTP | VLAN 10のみ許可漏れ、STPで非転送、VLAN未作成 |
| 同一VLAN内は正常、別VLANだけ不通 | SVI、デフォルトGW、ルーティング、ACL | SVI down、GW誤り、L3設定・ACL不備 |
| 変更直後から複数VLANで障害 | 変更したトランク、Port-channel、STP、共通上位 | Allowed VLAN置換、トランクモード変更、LAG不整合 |
現場では「影響範囲」が重要なヒントです。
1台だけなら端末またはアクセスポート、1つのVLANだけならVLAN固有設定、複数VLANが同時に落ちたなら 共通のトランクやPort-channelなど、症状から共有ポイントを探します。
VLAN障害の基本的な確認順序
設定を最初から全部確認するのではなく、次の順番で下位レイヤーから確認します。
- 物理リンク・インターフェース状態リンクアップしているか、shutdownやerr-disabledではないかを確認します。
- アクセスポートの所属VLAN端末ポートが意図したVLANへ収容されているかを確認します。
- VLANの存在と状態対象VLANが各スイッチに存在し、利用可能な状態か確認します。
- トランクとAllowed VLANスイッチ間リンクがトランクとして動作し、対象VLANが許可されているか確認します。
- STPの状態対象VLANで実際に転送するポートがForwardingになっているか確認します。
- MACアドレス学習送信元・宛先MACが想定ポートで学習されているか確認します。
- 必要ならL3へ進む異なるVLAN間の通信ならSVI、デフォルトゲートウェイ、ルーティング、ACLを確認します。
STEP 1：物理リンクとインターフェース状態
VLAN設定を見る前に、端末ポートとスイッチ間リンクが物理的・論理的に使用可能かを確認します。
SW1# show interfaces status
SW1# show ip interface brief
SW1# show interfaces GigabitEthernet1/0/10
SW1# show interfaces GigabitEthernet1/0/48確認ポイント
- 端末接続ポートがconnected / upになっているか
- スイッチ間リンクがup/upか
- administratively downではないか
- err-disabledになっていないか
- CRCエラーやinput errorが急増していないか
- 想定した物理ポートへケーブルが接続されているか
VLAN設定が正しくても、ポートがdownしていればフレームは流れません。 「VLAN障害らしい」という思い込みでLayer 1の確認を飛ばさないことが重要です。
STEP 2：アクセスポートとVLAN所属
端末が接続されているポートが、意図したVLANへ収容されているかを確認します。
SW1# show interfaces GigabitEthernet1/0/10 switchport
Name: Gi1/0/10
Switchport: Enabled
Administrative Mode: static access
Operational Mode: static access
Access Mode VLAN: 10 (USER_VLAN)
Voice VLAN: none- Operational Mode：実際にaccessとして動作しているか
- Access Mode VLAN：意図したVLAN IDか
- Voice VLAN：IP電話構成の場合、データVLANと音声VLANを混同していないか
running-configでも確認する
SW1# show running-config interface GigabitEthernet1/0/10
interface GigabitEthernet1/0/10
description PC-A
switchport mode access
switchport access vlan 10
spanning-tree portfast設計書に「VLAN 10」と書かれていても、実際のポートがVLAN 20なら端末はVLAN 20のブロードキャストドメインへ入ります。 まず「端末が本当にどのVLANへ入っているか」を機器上で確認します。
認証環境では動的VLANにも注意する
802.1XやMAC認証を使用する環境では、認証結果によって静的設定とは異なるVLANが割り当てられる場合があります。 「設定上はVLAN 10なのに実際には隔離VLANへ入っている」といったケースでは、認証ログやセッション情報も確認します。
STEP 3：VLANが存在しActiveか
ポートにVLAN 10を設定していても、対象スイッチでVLAN 10が利用可能な状態になっていなければ正常に転送できません。
SW1# show vlan brief
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Gi1/0/1, Gi1/0/2
10 USER_VLAN active Gi1/0/10
20 SERVER_VLAN active Gi1/0/20確認ポイント
- 対象VLAN IDが存在するか
- Statusがactiveか
- VLAN IDを別番号で作成していないか
- 複数スイッチにまたがる場合、必要な各スイッチにVLANが存在するか
VLAN名は運用上の識別に便利ですが、転送上重要なのはVLAN IDです。 SW1でVLAN 10の名前が「USER」、SW2で「OFFICE」でも、VLAN ID 10として扱われる点は同じです。
STEP 4：トランクと許可VLAN
「同じスイッチ内では通信できるが、別スイッチへ行くと通信できない」という症状では、トランクを優先して確認します。
SW1# show interfaces trunk
Port Mode Encapsulation Status Native vlan
Gi1/0/48 on 802.1q trunking 1
Port Vlans allowed on trunk
Gi1/0/48 10,20
Port Vlans allowed and active in management domain
Gi1/0/48 10,20
Port Vlans in spanning tree forwarding state and not pruned
Gi1/0/48 10,20- Status：trunking → 実際にトランクとして動作しているか
- Vlans allowed on trunk → 設定上、そのVLANを通してよいか
- allowed and active → 許可され、かつVLANが有効か
- forwarding state and not pruned → STP上も実際に転送可能か
Allowed VLANの設定漏れは非常に多い
SW2# show interfaces trunk
Port Vlans allowed on trunk
Gi1/0/48 20,30
Port Vlans allowed and active in management domain
Gi1/0/48 20,30SW1側ではVLAN 10を許可していても、SW2側のトランクでVLAN 10が許可されていなければ、 VLAN 10のフレームはスイッチ間を正常に通過できません。
switchport trunk allowed vlan 10,20 を変更するときは、addやremoveの扱いに注意します。
既存リストを意図せず置き換えると、変更対象以外のVLANまで通信断になる可能性があります。
Native VLANも確認する
802.1Qトランクでは、ネイティブVLANのフレームを通常タグなしで扱う構成があります。 両端のネイティブVLANが一致していないと、意図しないVLANへ収容されたり、STP関連の不整合が発生したりする可能性があります。
ただし、Native VLAN mismatchがあるから必ず全VLANが通信断になるわけではありません。 症状と対象VLANを確認し、ログ・STP状態・トランク設定を合わせて判断します。
EtherChannel構成ではPort-channel側を確認する
スイッチ間をEtherChannelで束ねている場合、トランク設定やSTP上の論理ポートはPort-channelで扱われます。 メンバーポートだけを見て判断せず、Port-channelの状態と設定も確認します。
SW1# show etherchannel summary
SW1# show interfaces Port-channel1 trunk
SW1# show interfaces Port-channel1 switchportSTEP 5：STPの転送状態
トランクでVLAN 10が許可されていても、STPによってそのポートがVLAN 10の転送経路として使用されていない場合があります。
SW1# show spanning-tree vlan 10
VLAN0010
Spanning tree enabled protocol rapid-pvst
Root ID Priority 24586
Address 0011.2233.4455
Interface Role Sts Cost Prio.Nbr Type
---------------- ---- --- --------- -------- --------------------------------
Gi1/0/48 Root FWD 4 128.48 P2p
Gi1/0/47 Altn BLK 4 128.47 P2p確認ポイント
- 想定した経路のポートがFWD（Forwarding）か
- 代替経路がBLK / Discardingになっているだけなら正常な冗長化動作ではないか
- VLAN 10だけ別のSTPトポロジーになっていないか
- inconsistent状態やBPDU Guardなどでポートが止まっていないか
STPで1本の冗長リンクがブロックされていること自体は障害ではありません。 「通信に必要な有効経路が残っているか」を確認します。
STP固有の障害切り分けは、次の記事「STP障害の切り分け」で詳しく扱います。
STEP 6：MACアドレステーブル
設定とSTPが正常に見える場合は、実際にフレームを送信させながらMACアドレスがどのポートで学習されるかを確認します。
SW1# show mac address-table dynamic vlan 10
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
10 00aa.bbcc.0010 DYNAMIC Gi1/0/10
10 00aa.bbcc.0020 DYNAMIC Gi1/0/48PC-AのMACアドレスがGi1/0/10、PC-BのMACアドレスがトランクGi1/0/48で学習されていれば、 少なくともSW1から見てPC-Bのフレームがトランク側から到達していることが分かります。
PC-AのMACが学習されない
PC-Aがフレームを送信していない、リンク・アクセスポート・認証・VLAN収容など、SW1の入口側を確認します。
PC-BのMACがトランク側で学習されない
SW1〜SW2間のトランク、Allowed VLAN、STP、SW2側VLAN・アクセスポートなどを確認します。
MACアドレステーブルは「設定が正しそう」から一歩進み、実際のフレームがどこから到着しているかを確認できる重要な証拠です。
MACが想定外のポートに見える場合
宛先MACが想定外のポートで学習されている場合は、配線違い、L2ループ、別経路、誤ったVLAN収容、 MACフラッピングなどの可能性を考えます。頻繁に学習ポートが変化する場合はSTPやループも確認します。
STEP 7：SVI・Inter-VLAN Routing
同一VLAN内通信が正常で、異なるVLAN宛てだけ通信できない場合は、VLANそのものよりレイヤー3を確認します。
VLAN 10からVLAN 20へ通信する場合
確認する項目
- 端末のIPアドレス・サブネットマスク・デフォルトゲートウェイ
- SVIがup/upか
- SVIのIPアドレスが設計どおりか
- L3スイッチでIP routingが必要な構成なら有効か
- 宛先ネットワークへのルートがあるか
- ACLなどで通信を拒否していないか
SW-L3# show ip interface brief | include Vlan
SW-L3# show interfaces Vlan10
SW-L3# show interfaces Vlan20
SW-L3# show ip route 192.168.20.0
SW-L3# show running-config interface Vlan10
SW-L3# show running-config interface Vlan20同一VLAN内通信が失敗しているのに、最初からルーティングテーブルを調べても原因に近づけない場合があります。 まず「ルーターを通る通信なのか」を判断してからL3へ進みます。
パケットキャプチャーでVLANタグを確認する
設定・状態・MACアドレステーブルだけで原因を絞れない場合、SPANなどでミラーポートを用意し、 トランク区間のフレームをWiresharkで確認すると有効です。
Dst MAC | Src MAC | EtherType | Data
通常はVLANタグなし
Dst MAC | Src MAC
802.1Q Tag：VLAN ID 10
EtherType | Data
Dst MAC | Src MAC | EtherType | Data
タグを外して端末へ
Wiresharkで見るポイント
- トランク上でIEEE 802.1Qヘッダーが見えるか
- VLAN IDが想定した番号か
- ARP RequestがSW1側では見えるがSW2側で見えないなど、どこで消えるか
- 応答フレームが逆方向へ戻っているか
vlan
vlan.id == 10
arp && vlan.id == 10
eth.addr == 00:aa:bb:cc:00:20キャプチャー場所によって見えるフレームは異なります。アクセスポート側では通常タグなし、トランク側では通常802.1Qタグ付きです。 また、ネイティブVLANやNIC・キャプチャー方式によってタグが見えない場合もあるため、観測地点と機器仕様を合わせて判断します。
ARPを使うとL2到達性を追いやすい
同一サブネットのPC-AからPC-Bへ通信すると、PC-AはPC-BのMACアドレスを知らない場合にARP Requestをブロードキャストします。 そのため、ARP Requestがどこまで届くか、PC-BのARP Replyがどこまで戻るかを見ると、L2障害の境界を追いやすくなります。
VLAN障害でよくある原因
アクセスポートのVLAN誤り
端末ポートがVLAN 10の予定なのにVLAN 20へ設定されているケースです。
VLAN未作成・利用不可
必要なスイッチに対象VLANが存在しない、または使用可能な状態になっていないケースです。
トランク未成立
片側がaccess、片側がtrunkなど、スイッチ間リンクのポートモードが想定と異なるケースです。
Allowed VLANから漏れている
対象VLANだけトランクの許可リストに入っておらず、そのVLANだけ別スイッチへ届かないケースです。
Native VLAN不一致
トランク両端でネイティブVLANが異なり、タグなしフレームの扱いに不整合が生じるケースです。
STPで必要経路が転送不可
想定経路がBlocking / Discardingやinconsistent状態となり、利用できる経路が残っていないケースです。
認証後に別VLANへ収容
802.1XやMAC認証の結果、通常VLANではなく隔離VLANなどへ動的に割り当てられているケースです。
L2は正常だがL3設定不備
同一VLANは正常でも、SVI・GW・ルート・ACLなどによりVLAN間通信だけ失敗するケースです。
代表的な確認コマンド
次はCisco IOS／IOS XE系でよく使う代表例です。コマンドや表示形式は機種・ソフトウェアによって異なるため、実機の仕様も確認してください。
| 目的 | 代表コマンド | 見るポイント |
|---|---|---|
| VLAN一覧 | show vlan brief |
VLAN ID、Status、アクセスポート |
| ポートモード | show interfaces Gi1/0/10 switchport |
Operational Mode、Access VLAN、Native VLAN、Trunking VLANs |
| トランク状態 | show interfaces trunk |
trunking、Allowed VLAN、Active、STP Forwarding |
| STP状態 | show spanning-tree vlan 10 |
Role、FWD/BLK、Root、inconsistentの有無 |
| MAC学習 | show mac address-table dynamic vlan 10 |
端末MACをどのポートで学習しているか |
| ポート設定 | show running-config interface Gi1/0/10 |
access/trunk、VLAN ID、shutdown、関連機能 |
| EtherChannel | show etherchannel summary |
Port-channelが成立し、メンバーが正しく参加しているか |
| SVI | show ip interface brief | include Vlan |
Vlan10などのSVIがup/upか |
切り分けで使いやすい最小セット
show interfaces status
show interfaces <端末ポート> switchport
show vlan brief
show interfaces trunk
show spanning-tree vlan <VLAN-ID>
show mac address-table dynamic vlan <VLAN-ID>
コマンドをたくさん知ることより、各コマンドで何を証明したいのかを意識することが重要です。
たとえばshow interfaces trunkは「対象VLANがスイッチ間を通れる条件がそろっているか」を確認するために使います。
トラブルシューティング例：VLAN 10だけ別スイッチへ届かない
次の事象を例に、実際の切り分けを進めます。
事象：PC-A（VLAN 10）から同一スイッチ上のVLAN 10端末へはpingできるが、SW2配下のPC-B（VLAN 10）へpingできない。
補足：VLAN 20はSW1〜SW2をまたいで正常に通信できる。
1．症状からトランク周辺を疑う
同じSW1内のVLAN 10は正常なので、PC-A側アクセスポートとSW1内のVLAN 10は大きな問題がなさそうです。 またVLAN 20はSW1〜SW2間を通るため、物理リンクそのものは生きています。
この時点で、VLAN 10固有のトランク許可・STP・SW2側VLAN設定へ優先度を上げられます。
2．SW1側トランクを確認する
SW1# show interfaces trunk
Port Vlans allowed on trunk
Gi1/0/48 10,20
Port Vlans allowed and active in management domain
Gi1/0/48 10,20SW1側ではVLAN 10が許可されています。
3．SW2側トランクを確認する
SW2# show interfaces trunk
Port Vlans allowed on trunk
Gi1/0/48 20
Port Vlans allowed and active in management domain
Gi1/0/48 20SW2側ではVLAN 10がAllowed VLANに含まれていません。これがVLAN 10だけ通信できない症状と一致します。
4．原因を修正する
SW2(config)# interface GigabitEthernet1/0/48
SW2(config-if)# switchport trunk allowed vlan add 105．修正後に状態と通信を再確認する
SW2# show interfaces trunk
SW2# show spanning-tree vlan 10
SW2# show mac address-table dynamic vlan 10
PC-A> ping 192.168.10.20「設定を直したから完了」ではなく、状態確認 → 通信試験 → MAC学習や必要なログの確認まで行い、 原因と復旧を根拠付きで示します。
障害報告の書き方
VLAN障害を解消した後は、「VLAN設定を直しました」だけでなく、事象・影響・原因・確認根拠・対応を整理します。
実務では「何を見てそう判断したのか」を残すと、上司・顧客・次の担当者が調査結果を追いやすくなります。
英語ドキュメントでよく見る表現
| 英語 | 意味 | 障害調査での見方 |
|---|---|---|
| Access VLAN | アクセスポートに割り当てるVLAN | 端末がどのVLANへ収容されるか |
| Allowed VLAN | トランクで通過を許可するVLAN | 対象VLANがトランクを通れるか |
| Native VLAN | 802.1Qトランクでネイティブとして扱うVLAN | 両端不一致やタグなしフレームに注意 |
| Forwarding state | STPでフレーム転送可能な状態 | 対象VLANの有効経路が残っているか |
| MAC address learning | 送信元MACと受信ポートを学習すること | 実際のフレーム到達方向を確認 |
VLAN障害でよくある勘違い
VLAN IDが合っていても、トランクで許可されていない、STPで転送されていない、ポートがdownしているなどの理由で通信できない場合があります。
同一VLAN・同一サブネット内の通信には通常ルーターは不要です。まずL2経路を確認します。
冗長構成ではループ防止のため一部ポートがBlocking / Discardingになることは正常です。利用可能な転送経路が残っているかを確認します。
VLAN名は管理上のラベルです。通常の802.1Q転送で重要なのはVLAN IDです。
1台だけ、1VLANだけ、別スイッチ間だけ、複数VLAN同時など、影響範囲から優先確認箇所を絞ると効率よく調査できます。
理解度チェック
解答を見る前に、どの確認コマンドを使うかも含めて考えてみましょう。
問題1．同じスイッチ上のVLAN 10端末同士は通信できますが、別スイッチのVLAN 10端末へ通信できません。最初に優先して確認するものはどれですか。
- DNSサーバー
- スイッチ間トランクとAllowed VLAN
- NATテーブル
- インターネット回線
解答を見る
同一SW内は正常なので端末側VLANは大きな問題がない可能性が高く、別SWへ渡す共通区間であるトランクを優先します。
問題2．アクセスポートがどのVLANへ所属しているか確認する代表コマンドはどれですか。
- show interfaces <interface> switchport
- show ip route
- show crypto ipsec sa
- show ntp associations
解答を見る
Access Mode VLAN、Administrative / Operational Modeなどを確認できます。
問題3．show interfaces trunkでVLAN 10が「Vlans allowed on trunk」に存在しません。何を意味しますか。
解答を見る
そのトランクでは設定上VLAN 10が許可されていないため、VLAN 10のユーザ通信を正常に運べない原因候補になります。両端の設定を確認します。
問題4．同一VLAN内は正常ですが、VLAN 10からVLAN 20へだけ通信できません。次に確認する項目を3つ挙げてください。
解答を見る
- 端末のデフォルトゲートウェイ
- Vlan10 / Vlan20のSVI状態とIPアドレス
- ルーティングやACL
同一VLAN内が正常なら、L2よりL3側の優先度を上げます。
問題5．VLAN 10のMACアドレステーブルで、対向PCのMACアドレスがトランク側に学習されません。どこを優先して確認しますか。
解答を見る
スイッチ間トランク、Allowed VLAN、STP、対向スイッチのVLAN作成・アクセスポート、対向PCが実際にフレームを送信しているかを確認します。
実践演習：VLAN 30だけ通信できない原因を特定する
次の構成を調査してください。
演習構成
Access VLAN 30
Access VLAN 30
確認結果1：アクセスポート
SW1# show interfaces Gi1/0/5 switchport
Operational Mode: static access
Access Mode VLAN: 30 (VLAN0030)
SW2# show interfaces Gi1/0/8 switchport
Operational Mode: static access
Access Mode VLAN: 30 (VLAN0030)確認結果2：VLAN状態
VLAN Name Status
---- -------------------------------- ---------
30 VLAN0030 active確認結果3：トランク
Port Vlans allowed on trunk
Gi1/0/48 10,20,30Port Vlans allowed on trunk
Gi1/0/48 10,20課題1．最も可能性が高い原因は何ですか。
課題1の解答を見る
SW2のGi1/0/48でVLAN 30がAllowed VLANに含まれていないことが最も直接的な原因です。
課題2．修正後に確認する項目を3つ挙げてください。
課題2の解答例を見る
show interfaces trunkでVLAN 30がAllowed / Active / Forwardingに含まれることshow mac address-table dynamic vlan 30で対向MACが学習されること- PC-1からPC-2へのpingなど、実通信が成功すること
課題3．顧客または上司への報告文を作成してください。
原因：＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
対応：＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
復旧確認：＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
報告例を見る
VLAN 30の端末間通信がSW1〜SW2間で失敗していたため調査したところ、SW2のトランクポートGi1/0/48で VLAN 30がAllowed VLANに含まれていないことを確認しました。Allowed VLANへVLAN 30を追加後、 トランク上でVLAN 30がActiveかつForwardingであること、およびPC-1からPC-2へのping成功を確認し、復旧と判断しました。
自分の言葉で説明する課題
後輩から「VLAN 10の端末同士が通信できません。何から見ればいいですか？」と聞かれました。 1分程度で確認順序を説明してください。
説明例を見る
まず端末とスイッチのリンクがupしているかを確認します。次に端末ポートのaccess VLANとVLAN自体の存在を確認します。 別スイッチをまたぐならトランクが成立し、対象VLANがAllowed VLANに含まれるかを確認します。 その後、STPで転送可能か、MACアドレスが想定ポートで学習されているかを確認します。 同一VLAN内が正常で別VLANだけ失敗する場合は、SVIやデフォルトゲートウェイ、ルーティングへ進みます。
まとめ
- VLAN障害では、フレームが送信元から宛先まで通る順番に確認する
- 最初に症状から「1台だけ・1VLANだけ・別SW間だけ・VLAN間だけ」を整理する
- 物理リンク → access VLAN → VLAN状態 → trunk → Allowed VLAN → STP → MAC学習の順で確認する
- 同一VLAN内が正常で別VLANだけ失敗する場合は、SVI・GW・ルーティング・ACLを確認する
show interfaces trunkではAllowed、Active、STP Forwardingを段階的に読む- MACアドレステーブルを見ると、実際のフレームがどの方向から到着しているか判断しやすい
- パケットキャプチャーでは、トランク上の802.1QタグやARPの到達範囲を確認できる
- 復旧後は、原因・修正内容・確認結果を根拠付きで報告する
VLAN障害の切り分けで重要なのは、「設定を見る」ことではなく「フレームがどこまで届いているかを証明する」ことです。
コメント